要使用LDAP可插拔身份验证，必须满足以下先决条件：

本节概述了 MySQL 和 LDAP 如何共同工作以认证 MySQL 用户。有关设置 MySQL 帐户以使用特定 LDAP 认证插件的示例，请参阅 使用 LDAP 可插拔认证。有关 LDAP 插件可用的认证方法，请参阅 LDAP 认证方法。

客户端连接到 MySQL 服务器，提供 MySQL 客户端用户名和密码：

如果客户端用户名和主机名不匹配任何 MySQL 帐户，则连接将被拒绝。

如果存在匹配的 MySQL 帐户，则对 LDAP 进行认证。LDAP 服务器查找与用户匹配的条目，并对该条目进行认证使用 LDAP 密码：

如果 LDAP 服务器找不到匹配项或找到多个匹配项，认证将失败，客户端连接将被拒绝。

如果 LDAP 服务器找到单个匹配项，LDAP 认证成功（假设密码正确），LDAP 服务器返回 LDAP 条目，认证插件根据该条目确定认证用户的名称：

MySQL 服务器将客户端用户名与认证用户名称进行比较，以确定是否对客户端会话进行代理：

本节描述了如何安装服务器端 LDAP 认证插件。有关安装插件的一般信息，请参阅 第 7.6.1 节，“安装和卸载插件”。

要使插件库文件可供服务器使用，必须将其位于 MySQL 插件目录中（由 plugin_dir 系统变量指定的目录）。如果必要，请在服务器启动时设置 plugin_dir 的值以配置插件目录的位置。

服务器端插件库文件的基本名称是 authentication_ldap_simple 和 authentication_ldap_sasl。文件名后缀因平台而异（例如，Unix 和 Unix-like 系统上的 .so，Windows 上的 .dll）。

要在服务器启动时加载插件，请使用 --plugin-load-add 选项来指定包含它们的库文件。使用这种插件加载方法，每次服务器启动时都必须指定这些选项。此外，还需要指定要配置的任何插件提供的系统变量的值。

每个服务器端 LDAP 插件都会公开一组系统变量，以便配置其操作。设置大多数这些变量是可选的，但您必须设置指定 LDAP 服务器主机（以便插件知道连接到哪里）和 LDAP 绑定操作的基本区分名（以限制搜索范围并获得更快的搜索）。有关所有 LDAP 系统变量的详细信息，请参阅 第 8.4.1.14 节，“可插拔身份验证系统变量”。

要加载插件并设置 LDAP 服务器主机和 LDAP 绑定操作的基本区分名，请在 my.cnf 文件中添加以下行，根据需要调整 .so 后缀：

[mysqld]
plugin-load-add=authentication_ldap_simple.so
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改 my.cnf 文件后，重新启动服务器以使新设置生效。

或者，要在运行时加载插件，请使用以下语句，根据需要调整 .so 后缀：

INSTALL PLUGIN authentication_ldap_simple
  SONAME 'authentication_ldap_simple.so';
INSTALL PLUGIN authentication_ldap_sasl
  SONAME 'authentication_ldap_sasl.so';

INSTALL PLUGIN 会立即加载插件，并在 mysql.plugins 系统表中注册它，以便在每次正常启动时加载插件，而不需要 --plugin-load-add。

在运行时安装插件后，它们公开的系统变量将变得可用，您可以将设置添加到 my.cnf 文件中，以便在后续重新启动时配置插件。例如：

[mysqld]
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改 my.cnf 文件后，重新启动服务器以使新设置生效。

要在运行时设置和持久化每个值，而不是在启动时，请使用以下语句：

SET PERSIST authentication_ldap_simple_server_host='127.0.0.1';
SET PERSIST authentication_ldap_simple_bind_base_dn='dc=example,dc=com';
SET PERSIST authentication_ldap_sasl_server_host='127.0.0.1';
SET PERSIST authentication_ldap_sasl_bind_base_dn='dc=example,dc=com';

SET PERSIST 设置当前 MySQL 实例的值，并将其保存以便在后续服务器重新启动时生效。要更改当前 MySQL 实例的值而不使其在后续重新启动时生效，请使用 GLOBAL 关键字而不是 PERSIST。请参阅 第 15.7.6.1 节，“SET 语法 for 变量赋值”。

要验证插件安装，请检查 Information Schema PLUGINS 表或使用 SHOW PLUGINS 语句（请参阅 第 7.6.2 节，“获取服务器插件信息”）。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%ldap%';
+----------------------------+---------------+
| PLUGIN_NAME                | PLUGIN_STATUS |
+----------------------------+---------------+
| authentication_ldap_sasl   | ACTIVE        |
| authentication_ldap_simple | ACTIVE        |
+----------------------------+---------------+

如果插件无法初始化，请检查服务器错误日志以获取诊断信息。

要将 MySQL 帐户与 LDAP 插件关联，请参阅 使用 LDAP 可插拔身份验证。

卸载 LDAP 身份验证插件的方法取决于您如何安装它们：

此外，从您的 my.cnf 文件中删除任何设置 LDAP 插件相关系统变量的启动选项。如果您使用 SET PERSIST 持久化 LDAP 系统变量，请使用 RESET PERSIST 删除设置。

对于使用 OpenLDAP 的安装，ldap.conf 文件提供了 LDAP 客户端的全局默认值。可以在该文件中设置选项，以影响 LDAP 客户端，包括 LDAP 身份验证插件。OpenLDAP 使用以下优先级顺序的配置选项：

如果库默认值或 ldap.conf 值不能产生适当的选项值，LDAP 身份验证插件可能能够设置相关变量，以直接影响 LDAP 配置。例如，LDAP 插件可以覆盖 ldap.conf 的参数，如 TLS 配置等：

有关 ldap.conf 的更多信息，请参阅 ldap.conf(5) 手册页。

要使用 LDAP 可插拔身份验证连接到 MySQL 服务器，LDAP 服务器必须可用且运作正常。MySQL 服务器与 LDAP 服务器之间的交互涉及两个步骤。首先，MySQL 服务器与 LDAP 服务器建立 TCP 连接。其次，MySQL 服务器通过连接发送 LDAP 绑定请求，并等待 LDAP 服务器的响应，以便身份验证账户。如果这两个步骤中的任何一个失败，MySQL 账户将无法连接到 MySQL 服务器。

在 MySQL 8.1.0 之前，LDAP 可插拔身份验证依赖于主机操作系统的超时值，以确定等待连接和响应步骤完成的时间。具体来说，用户尝试连接 MySQL 可能会遇到以下情况：

从 MySQL 8.1.0 开始，默认情况下将应用短暂超时，以超越主机系统的超时值。这将在连接和响应步骤中应用。在所有情况下，如果超时到期，账户用户将收到连接 MySQL 被拒绝的通知。客户端和服务器端日志记录可以提供更多信息。在客户端上，设置以下环境变量以提高详细级别，然后重新启动 MySQL 客户端：

AUTHENTICATION_LDAP_CLIENT_LOG=5
export AUTHENTICATION_LDAP_CLIENT_LOG

以下系统变量支持 SASL 基础和简单 LDAP 身份验证的默认超时，在 Linux 平台上仅适用。

LDAP 身份验证超时值可以在服务器启动和运行时调整。如果您将超时设置为零，则 effectively 禁用它，MySQL 服务器将使用主机系统的默认超时。

本节描述如何启用 MySQL 帐户使用 LDAP 可插拔身份验证连接到 MySQL 服务器。假设服务器正在运行适当的服务器端插件，按照 安装 LDAP 可插拔身份验证 中所述，并且客户端插件可在客户端主机上使用。

本节不描述 LDAP 配置或管理。您假设熟悉这些主题。

每个服务器端 LDAP 插件都与特定的客户端插件一起工作：

LDAP 身份验证 MySQL 用户的总体要求：

以下说明假设以下场景：

设置使用 LDAP 身份验证的帐户的说明取决于使用的服务器端 LDAP 插件。以下部分描述了几种使用场景。

要配置 MySQL 帐户以进行简单 LDAP 身份验证，CREATE USER 语句指定 authentication_ldap_simple 插件，并可选地命名 LDAP 用户区分名称（DN）：

CREATE USER user
  IDENTIFIED WITH authentication_ldap_simple
  [BY 'LDAP user DN'];

假设 MySQL 用户 betsy 在 LDAP 目录中有以下条目：

uid=betsy_ldap,ou=People,dc=example,dc=com

然后，创建 MySQL 帐户的语句 betsy 看起来像这样：

CREATE USER 'betsy'@'localhost'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=betsy_ldap,ou=People,dc=example,dc=com';

在 BY 子句中指定的身份验证字符串不包括 LDAP 密码。该密码必须由客户端用户在连接时提供。

客户端连接到 MySQL 服务器，提供 MySQL 用户名和 LDAP 密码，并启用客户端 mysql_clear_password 插件：

$> mysql --user=betsy --password --enable-cleartext-plugin
Enter password: betsy_password (betsy_ldap LDAP password)

身份验证过程如下：

如果匹配的 LDAP 条目包含组属性，那么该属性值将是已验证用户名称，并且如果该值不同于 betsy，则将发生代理。有关使用组属性的示例，请参阅 LDAP 身份验证 with 代理。

如果 CREATE USER 语句不包含指定 betsy_ldap LDAP 区分名称的 BY 子句，那么身份验证尝试将使用客户端提供的用户名（在这种情况下为 betsy）。在缺少 betsy LDAP 条目的情况下，身份验证将失败。

要配置 MySQL 帐户以使用 SASL LDAP 身份验证，CREATE USER 语句指定 authentication_ldap_sasl 插件，并可选地命名 LDAP 用户区分名称（DN）：

CREATE USER user
  IDENTIFIED WITH authentication_ldap_sasl
  [BY 'LDAP user DN'];

假设 MySQL 用户 boris 在 LDAP 目录中有以下条目：

uid=boris_ldap,ou=People,dc=example,dc=com

然后，创建 MySQL 帐户的语句 boris 看起来像这样：

CREATE USER 'boris'@'localhost'
  IDENTIFIED WITH authentication_ldap_sasl
  AS 'uid=boris_ldap,ou=People,dc=example,dc=com';

在 BY 子句中指定的身份验证字符串不包括 LDAP 密码。那必须由客户端用户在连接时提供。

客户端连接到 MySQL 服务器，提供 MySQL 用户名和 LDAP 密码：

$> mysql --user=boris --password
Enter password: boris_password (boris_ldap LDAP password)

对于服务器端 authentication_ldap_sasl 插件，客户端使用客户端 authentication_ldap_sasl_client 插件。如果客户端程序找不到客户端插件，请指定一个 --plugin-dir 选项，该选项命名插件库文件的安装目录。

对 boris 的身份验证过程类似于之前描述的 betsy 的简单 LDAP 身份验证，除了客户端和服务器端 SASL LDAP 插件使用 SASL 消息来安全地传输凭证，而不是在 MySQL 客户端和服务器之间发送明文密码。

LDAP 身份验证插件支持代理，允许用户以一个用户身份连接到 MySQL 服务器，但假设另一个用户的权限。这一节描述基本的 LDAP 插件代理支持。LDAP 插件还支持组首选项和代理用户映射规格；请参阅 LDAP 身份验证组首选项和映射规格。

这里描述的代理实现基于使用 LDAP 组属性值将连接到 MySQL 服务器的用户映射到其他 MySQL 帐户，这些帐户定义了不同的权限集。用户不直接连接到定义权限的帐户，而是通过默认的代理帐户连接，所有外部登录都映射到代理的 MySQL 帐户，权限确定了外部用户允许的数据库操作。

以下说明假设以下场景：

创建默认的代理 MySQL 帐户：

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl;

代理账户定义没有 AS 'auth_string' 子句来命名 LDAP 用户 DN。因此：

创建代理账户并授予每个账户相应的权限：

CREATE USER 'accounting'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'front_office'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON accountingdb.*
  TO 'accounting'@'localhost';
GRANT ALL PRIVILEGES
  ON frontdb.*
  TO 'front_office'@'localhost';

代理账户使用 mysql_no_login 认证插件，以防止客户端直接登录到 MySQL 服务器。相反，使用 LDAP 认证的用户预计使用默认的 ''@'%' 代理账户。（假设 mysql_no_login 插件已安装。有关说明，请参阅 第 8.4.1.9 节，“无登录可插拔认证”。）有关保护代理账户免受直接使用的替代方法，请参阅 防止代理账户直接登录。

授予代理账户 PROXY 权限，以便每个代理账户：

GRANT PROXY
  ON 'accounting'@'localhost'
  TO ''@'%';
GRANT PROXY
  ON 'front_office'@'localhost'
  TO ''@'%';

使用 mysql 命令行客户端连接到 MySQL 服务器作为 basha。

$> mysql --user=basha --password
Enter password: basha_password (basha LDAP password)

身份验证过程如下：

这证明了 basha 使用了代理 accounting MySQL 账户的权限，并且代理发生在默认代理用户账户中。

现在连接为 basil：

$> mysql --user=basil --password
Enter password: basil_password (basil LDAP password)

对 basil 的身份验证过程与之前描述的 basha 相似：

这证明了 basil 使用了代理 front_office MySQL 账户的权限，并且代理发生在默认代理用户账户中。

如 LDAP 认证与代理 中所述，基本 LDAP 认证代理工作原理是插件使用 LDAP 服务器返回的第一个组名作为 MySQL 代理用户账户名。这项简单的功能不允许指定使用哪个组名，如果 LDAP 服务器返回多个组名，或者指定其他名称作为代理用户名称。

对于使用 LDAP 认证的 MySQL 账户，身份验证字符串可以指定以下信息，以启用更大的代理灵活性：

考虑以下 MySQL 代理账户定义：

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl
  AS '+ou=People,dc=example,dc=com#grp1=usera,grp2,grp3=userc';

身份验证字符串具有用户 DN 后缀 ou=People,dc=example,dc=com，以 + 字符为前缀。因此，如 LDAP 认证用户 DN 后缀 所述，完整的用户 DN 由指定的用户 DN 后缀和客户端用户名作为 uid 属性构建。

身份验证字符串的剩余部分以 # 开头，表示组首选项和映射信息的开始。这部分身份验证字符串列出了组名，以 grp1、grp2、grp3 的顺序。LDAP 插件将该列表与 LDAP 服务器返回的组名集进行比较，按照列表顺序查找匹配的组名。插件使用第一个匹配项，如果没有匹配项，身份验证将失败。

假设 LDAP 服务器返回组 grp3、grp2 和 grp7。LDAP 插件使用 grp2，因为它是身份验证字符串中第一个匹配的组名，尽管它不是 LDAP 服务器返回的第一个组名。如果 LDAP 服务器返回 grp4、grp2 和 grp1，插件使用 grp1，因为它在身份验证字符串中的优先级高于 grp2。

假设插件找到组名匹配项，它将执行从该组名到 MySQL 代理用户名的映射，如果存在。

如果 LDAP 服务器返回组 DN，LDAP 插件将解析组 DN 以提取组名。

要指定 LDAP 组首选项和映射信息，以下原则适用：

LDAP 认证插件允许认证字符串提供用户 DN 信息，以 + 前缀字符开头：

该账户认证字符串不以 + 开头，因此被视为完整的用户 DN：

CREATE USER 'baldwin'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=admin,ou=People,dc=example,dc=com';

客户端使用账户中指定的用户名（baldwin）连接。在这种情况下，该名称不被使用，因为认证字符串没有前缀，因此完全指定了用户 DN。

该账户认证字符串以 + 开头，因此被视为用户 DN 的一部分：

CREATE USER 'accounting'
  IDENTIFIED WITH authentication_ldap_simple
  AS '+ou=People,dc=example,dc=com';

客户端使用账户中指定的用户名（accounting），该名称将被用作 uid 属性的值，连同认证字符串一起构建用户 DN：uid=accounting,ou=People,dc=example,dc=com

前面的示例账户都有非空用户名，因此客户端总是使用账户定义中指定的同一个名称连接到 MySQL 服务器。如果账户有空用户名，例如默认的匿名 ''@'%' 代理账户，如 LDAP 认证与代理 中所述，客户端可能使用不同的用户名连接到 MySQL 服务器。但是，原则相同：如果认证字符串以 + 开头，插件将使用客户端发送的用户名和认证字符串来构建用户 DN。

LDAP 认证插件使用可配置的认证方法。适当的系统变量和可用方法选择是插件特定的：

请参阅系统变量描述以获取每个允许方法的信息。此外，根据方法，可能需要额外的配置，如下一节所述。

通用安全服务应用程序接口（GSSAPI）是一个安全抽象接口。Kerberos 是一个特定的安全协议，可以通过该抽象接口使用。使用 GSSAPI，应用程序可以认证到 Kerberos，以获取服务凭证，然后使用这些凭证来启用安全访问其他服务。

一种这样的服务是LDAP，它由客户端和服务器端SASL LDAP身份验证插件使用。当authentication_ldap_sasl_auth_method_name系统变量设置为GSSAPI时，这些插件使用GSSAPI/Kerberos身份验证方法。在这种情况下，插件使用Kerberos安全地与LDAP服务器通信，而不直接使用LDAP消息。然后，服务器端插件与LDAP服务器通信，以解释LDAP身份验证消息并检索LDAP组。

GSSAPI/Kerberos支持作为MySQL服务器和客户端的LDAP身份验证方法，在Linux环境中非常有用，其中应用程序可以通过Microsoft Active Directory访问LDAP，该目录默认启用了Kerberos。

以下讨论提供了使用GSSAPI方法的配置要求信息。假设您熟悉Kerberos概念和操作。以下列表简要定义了几个常见的Kerberos术语。你也可以在RFC 4120的词汇表部分找到有用的信息。

使用Kerberos的LDAP身份验证需要KDC服务器和LDAP服务器。这可以通过不同的方式满足：

Kerberos还必须在客户端主机上可用。客户端使用密码联系AS，以获取TGT。然后，客户端使用TGT从TGS获取其他服务的访问权限，例如LDAP。

以下部分讨论了使用GSSAPI/Kerberos进行SASL LDAP身份验证的配置步骤：

Verify Kerberos and LDAP Availability

以下示例显示了如何在Active Directory中测试Kerberos的可用性。该示例假设：

满足这些假设后，按照以下步骤操作：

Configure the Server-Side SASL LDAP Authentication Plugin for GSSAPI/Kerberos

假设 LDAP 服务器可以通过 Kerberos 访问，如上所述，配置服务器端 SASL LDAP 身份验证插件以使用 GSSAPI/Kerberos 身份验证方法。（有关 LDAP 插件安装信息，请参阅 安装 LDAP 可插拔身份验证。）以下是服务器 my.cnf 文件中可能包含的插件相关设置：

[mysqld]
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_auth_method_name="GSSAPI"
authentication_ldap_sasl_server_host=198.51.100.10
authentication_ldap_sasl_server_port=389
authentication_ldap_sasl_bind_root_dn="cn=admin,cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_bind_root_pwd="password"
authentication_ldap_sasl_bind_base_dn="cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_user_search_attr="sAMAccountName"

这些选项文件设置将 SASL LDAP 插件配置为：

Create a MySQL Account That Uses GSSAPI/Kerberos for LDAP Authentication

使用 SASL LDAP 身份验证插件和 GSSAPI/Kerberos 方法的 MySQL 身份验证基于 Kerberos 主体用户。以下讨论使用名为 bredon@MYSQL.LOCAL 的主体用户，该用户必须在多个地方注册：

假设 Kerberos 主体和 LDAP 条目已经由适当的服务管理员注册，并且按照之前在 安装 LDAP 可插拔身份验证 和 配置服务器端 SASL LDAP 身份验证插件以用于 GSSAPI/Kerberos 中所述，MySQL 服务器已经使用适当的配置设置启动了服务器端 SASL LDAP 插件。然后，MySQL DBA 创建了一个对应于 Kerberos 主体名称的 MySQL 帐户，包括域名。

以下语句创建了一个名为 bredon@MYSQL.LOCAL 的代理用户，该用户假设了名为 proxied_krb_usr 的代理用户的权限。其他使用 GSSAPI/Kerberos 身份验证的用户可以类似地创建为同一个代理用户的代理用户。

-- create proxy account
CREATE USER 'bredon@MYSQL.LOCAL'
  IDENTIFIED WITH authentication_ldap_sasl
  BY '#krb_grp=proxied_krb_user';

-- create proxied account and grant its privileges;
-- use mysql_no_login plugin to prevent direct login
CREATE USER 'proxied_krb_user'
  IDENTIFIED WITH mysql_no_login;
GRANT ALL
  ON krb_user_db.*
  TO 'proxied_krb_user';

-- grant to proxy account the
-- PROXY privilege for proxied account
GRANT PROXY
  ON 'proxied_krb_user'
  TO 'bredon@MYSQL.LOCAL';

请注意代理帐户名称在第一个 CREATE USER 语句和 GRANT PROXY 语句中的引号：

代理帐户使用 mysql_no_login 身份验证插件来防止客户端直接登录到 MySQL 服务器。相反，预计用户使用 LDAP 身份验证的用户将使用 bredon@MYSQL.LOCAL 代理帐户。(这假设 mysql_no_login 插件已经安装。有关说明，请参阅 第 8.4.1.9 节，“无登录可插拔身份验证”。) 有关保护代理帐户免受直接使用的替代方法，请参阅 防止代理帐户的直接登录。

Use the MySQL Account to Connect to the MySQL Server

在设置了使用 GSSAPI/Kerberos 身份验证的 MySQL 帐户后，客户端可以使用它连接到 MySQL 服务器。Kerberos 身份验证可以在 MySQL 客户端程序调用之前或调用时进行：

如果您不确定是否存在TGT，可以使用 klist 来检查。

身份验证按照以下方式进行：

一旦获得TGT，它将被缓存在客户端并可以在到期之前重复使用，而不需要再次指定密码。无论如何获得TGT，客户端插件都使用它来获取服务票据并与服务器端插件通信。

服务器端插件没有访问TGT本身或用于获取它的Kerberos密码。

LDAP身份验证插件没有控制缓存机制（存储在本地文件中、内存中等），但是Kerberos实用程序如 kswitch 可能可用于此目的。

Client Configuration Parameters for LDAP Authentication

authentication_ldap_sasl_client 客户端SASL LDAP插件读取local /etc/krb5.conf 文件。如果该文件不存在或不可访问，将发生错误。假设该文件可访问，可以在 mysql 部分的可选 [appdefaults] 部分中提供信息供插件使用。例如：

[appdefaults]
  mysql = {
    ldap_server_host = "ldap_host.example.com"
    ldap_destroy_tgt = true
  }

客户端插件识别 mysql 部分中的这些参数：

LDAP 服务器可以配置为将 LDAP 搜索委托给另一个 LDAP 服务器，这是一种称为 LDAP 重定向的功能。假设服务器 a.example.com 持有 "dc=example,dc=com" 根 DN，并希望将搜索委托给另一个服务器 b.example.com。要启用此功能，a.example.com 将被配置为具有命名的重定向对象，具有以下属性：

dn: dc=subtree,dc=example,dc=com
objectClass: referral
objectClass: extensibleObject
dc: subtree
ref: ldap://b.example.com/dc=subtree,dc=example,dc=com

启用 LDAP 重定向的一个问题是，搜索可能会因 LDAP 操作错误而失败，当搜索基 DN 是根 DN 时，并且重定向对象未设置。MySQL DBA 可能希望避免这些重定向错误，以便 LDAP 身份验证插件，即使 LDAP 重定向在 ldap.conf 配置文件中全局设置。要在插件特定基础上配置 LDAP 服务器是否在与每个插件通信时使用 LDAP 重定向，设置 authentication_ldap_simple_referral 和 authentication_ldap_sasl_referral 系统变量。将任一变量设置为 ON 或 OFF 将导致相应的 LDAP 身份验证插件告诉 LDAP 服务器在 MySQL 身份验证期间是否使用重定向。每个变量都具有插件特定的效果，不会影响其他与 LDAP 服务器通信的应用程序。两个变量默认情况下都是 OFF。